Kan en utenlandsk VPN-leverandør se bort fra en amerikansk dataforespørsel?
En landetikett svarer på svært lite. Følg den kontraherende enheten, hva den kan hente ut, og hvor en avgrenset amerikansk opplysningslov ender.
Landetiketter løser det minste spørsmålet i en leverandørs juridiske mappe. Tre vilkår avgjør om en utenlandsk adresse endrer noe når et krav kommer: om enheten som mottar det er bundet av det, om den enheten besitter eller kontrollerer opplysningen, og hvilken kategori av opplysninger kravet når. Tar du feil på ett av dem, pynter etiketten på en konklusjon du ikke har gjort deg fortjent til.
Arbeid gjennom dem i den rekkefølgen, fordi hvert av dem kan avslutte analysen før det neste begynner. Det som følger er et kart for nødvendig aktsomhet, ikke en rangering av land, med én strengt avgrenset amerikansk lov som gjennomført eksempel.
Start med enheten som er navngitt i kontrakten
Kundeavtalen navngir en enhet, og den enheten bærer forholdet til deg. Merkevaren på nettstedet kan tilhøre et morselskap, tunnelen kan drives av et datterselskap, og faktureringen kan ligge hos en forhandler eller betalingsbehandler registrert et helt annet sted. Be om det juridiske navnet og organisasjonsnummeret som er trykt på fakturaen, og spør deretter hvilken av disse organisasjonene som svarer på en rettslig kjennelse. En felles logo forklarer ingenting av dette.
Hold fire steder fra hverandre mens du arbeider: hvor selskapet er registrert, hvor utgangsadressene peker, hvor maskinvaren faktisk står, og hvor kontodataene behandles. Et utsagn som avgjør ett av dem, avgjør ikke de tre andre, og en leverandør som bare svarer på det enkle, forteller deg hvor du skal fortsette å lete.
Besittelse, forvaring eller kontroll slår geografi
Et avgrenset amerikansk eksempel gjør skillet konkret. 18 USC 2713 pålegger leverandører som kapitlet dekker å bevare og utlevere kundekommunikasjon og opplysninger som er i deres besittelse, forvaring eller kontroll, og teksten avhenger ikke av om disse opplysningene ligger inne i landet eller utenfor. Plikten fester seg til enheter og kategorier av opplysninger som loven faktisk når, og det er et snevrere sett enn enhver leverandør som annonserer en utenlandsk adresse.
En oversikt svarer på mer enn et slagord. En leverandør som virkelig ikke lagrer tilkoblingsopplysninger, har ingenting å bevare i den kategorien, mens samme leverandør fortsatt kan sitte på en påmeldings-e-post, et betalingstoken og vedlegg fra kundestøtte som faller rett innenfor plikten. Godtar du et svar om logging uten å spørre hva annet som finnes, blir mesteparten av mappen stående uundersøkt. En dataforespørsel avhenger sjelden av tunnelen alene.
Det som teller er hvem som kan hente ut en opplysning, ikke hvilket kontinent disken står på, og enheten som kan hente den ut, er enheten som må undersøkes. En side som lister opp utgangsland, svarer på et annet spørsmål.
Koble kategorien av opplysninger til det du selv overleverte
Lagringsspråket er vanligvis skrevet per kategori, og en generell personvernside gjør det til ett selvtrygt avsnitt. Trekk ut de konkrete klausulene og noter hvilke kategorier de navngir. Sammenlign deretter listen med opplysningene din egen bruk skaper, siden bare overlappen angår deg.
| Record type | Who tends to hold it | What the country label settles |
|---|---|---|
| Signup email and account metadata | Contracting entity or its identity provider | Nothing about retention |
| Payment instrument | Processor, reseller, or bank | Little; another company may answer first |
| Support attachments | Support desk, in-house or outsourced | Whether the desk belongs to the same entity |
| Tunnel connection records | Operator, if collected at all | Only whether collection is claimed |
| Device and app identifiers | App vendor | Which policy covers the app, not the tunnel |
To rader avgjør vanligvis det praktiske spørsmålet. Vedlegg fra kundestøtte og betalingsopplysninger finnes fordi du selv leverte dem, så de overlever selv når en leverandør hevder at den ikke logger i det hele tatt. Tilkoblingsopplysninger er den omstridte kategorien, og en leverandør som hevder at den ikke lagrer noen, bør kunne beskrive hvordan faktureringen og misbrukshåndteringen unngår å skape dem.
La en ukjent celle stå tom i notatene dine i stedet for å la nabosvaret fylle den. En tom celle er ærligere enn en gjetning hentet fra utgangslandet.
Legg alle tre vilkårene fram for leverandøren skriftlig
Spør hvilken enhet som mottar rettslige prosesser, hvilke kategorier den enheten kan hente ut uten å spørre noen andre, og hvordan åpenhetsrapporteringen teller forespørsler den avslår eller ikke kan svare på. Spør om alle tre i én melding, slik at svarene kan sammenlignes. Et svar som handler om landet men ikke om enheten, eller om enheten men ikke om kategorien, har svart på et spørsmål du ikke stilte. Stillhet om ett vilkår er i seg selv funnet.
Bruk de samme vilkårene på loven du støtter deg på. En utleveringsplikt skrevet for et bestemt kapittel binder leverandørene det kapitlet dekker, og dens territoriale ordlyd handler om hvor opplysningene ligger, ikke om hvilket selskap som må svare. Behandle et selvtrygt sammendrag, også dette, som en grunn til å lese teksten som styrer leverandøren din.
Skriv ned enheten, kategoriene og bestemmelsen du kontrollerte, og dater notatet. Den registreringen overlever navnebytter og markedsføring som skrives om, og den gir en advokat eller revisor noe konkret å starte fra når spørsmålet slutter å være hypotetisk.